目  錄

1 ARP

1.1 ARP簡介

1.1.1 ARP報文結構

1.1.2 ARP地址解析過程

1.1.3 ARP表項類型

1.2 ARP配置任務簡介

1.3 手工添加靜態ARP表項

1.3.1 手工添加短靜態ARP表項

1.3.2 手工添加長靜態ARP表項

1.4 配置動態ARP表項的相關功能

1.4.1 配置設備學習動態ARP表項的最大數目

1.4.2 配置接口學習動態ARP表項的最大數目

1.4.3 配置動態ARP表項的老化時間

1.4.4 開啟動態ARP表項的檢查功能

1.5 開啟在地址借用的接口學習不同網段ARP表項的功能

1.6 開啟ARP日誌信息功能

1.7 ARP顯示和維護

2 免費ARP

2.1 免費ARP簡介

2.1.1 IP地址衝突檢測

2.1.2 免費ARP報文學習

2.1.3 定時發送免費ARP

2.2 免費ARP配置任務簡介

2.3 開啟源IP地址衝突提示功能

2.4 開啟免費ARP報文學習功能

2.5 開啟定時發送免費ARP功能

2.6 開啟設備收到非同一網段ARP請求時發送免費ARP報文功能

2.7 配置當接口MAC地址變化時，該接口重新發送免費ARP報文的次數和時間間隔

3 代理ARP

3.1 代理ARP簡介

3.2 開啟普通代理ARP功能

3.3 開啟本地代理ARP功能

3.4 代理ARP顯示和維護

4 ARP Snooping

4.1 ARP Snooping簡介

4.1.1 ARP Snooping表項建立機製

4.1.2 ARP Snooping表項老化機製

4.1.3 ARP Snooping表項衝突處理機製

4.2 開啟ARP Snooping功能

4.3 ARP Snooping顯示和維護

5 ARP快速應答

5.1 ARP快速應答簡介

5.2 開啟ARP快速應答功能

6 ARP直連路由通告

6.1 ARP直連路由通告簡介

6.1.1 工作機製

6.1.2 三層接入組網應用

6.2 開啟ARP直連路由通告功能

1 ARP

1.1  ARP簡介

ARP（Address Resolution Protocol，地址解析協議）是將IP地址解析為以太網MAC地址（或稱物理地址）的協議。在網絡中，當主機或其它網絡設備有數據要發送給另一個主機或設備時，它必須知道對方的網絡層地址（即IP地址），由於IP數據報必須封裝成幀才能通過物理網絡發送，因此還需要知道對方的物理地址，所以設備上需要存在一個從IP地址到物理地址的映射關係。ARP就是實現這個功能的協議。

1.1.1  ARP報文結構

ARP報文分為ARP請求和ARP應答報文，報文格式如圖1-1所示。

圖1-1 ARP報文結構

·     硬件類型：表示硬件地址的類型。它的值為1表示以太網地址；

·     協議類型：表示要映射的協議地址類型。它的值為0x0800即表示IP地址；

·     硬件地址長度和協議地址長度分別指出硬件地址和協議地址的長度，以字節為單位。對於以太網上IP地址的ARP請求或應答來說，它們的值分別為6和4；

·     操作類型（OP）：1表示ARP請求，2表示ARP應答；

·     發送端MAC地址：發送方設備的硬件地址；

·     發送端IP地址：發送方設備的IP地址；

·     目標MAC地址：接收方設備的硬件地址；

·     目標IP地址：接收方設備的IP地址。

1.1.2  ARP地址解析過程

假設主機A和B在同一個網段，主機A要向主機B發送信息。如圖1-2所示，具體的地址解析過程如下：

(1)     主機A首先查看自己的ARP表，確定其中是否包含有主機B對應的ARP表項。如果找到了對應的MAC地址，則主機A直接利用ARP表中的MAC地址，對IP數據報進行幀封裝，並將IP數據報發送給主機B。

(2)     如果主機A在ARP表中找不到對應的MAC地址，則將緩存該IP數據報，然後以廣播方式發送一個ARP請求報文。ARP請求報文中的發送端IP地址和發送端MAC地址為主機A的IP地址和MAC地址，目標IP地址和目標MAC地址為主機B的IP地址和全0的MAC地址。由於ARP請求報文以廣播方式發送，該網段上的所有主機都可以接收到該請求，但隻有被請求的主機（即主機B）會對該請求進行處理。

(3)     主機B比較自己的IP地址和ARP請求報文中的目標IP地址，當兩者相同時進行如下處理：將ARP請求報文中的發送端（即主機A）的IP地址和MAC地址存入自己的ARP表中。之後以單播方式發送ARP響應報文給主機A，其中包含了自己的MAC地址。

(4)     主機A收到ARP響應報文後，將主機B的MAC地址加入到自己的ARP表中以用於後續報文的轉發，同時將IP數據報進行封裝後發送出去。

圖1-2 ARP地址解析過程

當主機A和主機B不在同一網段時，主機A就會先向網關發出ARP請求，ARP請求報文中的目標IP地址為網關的IP地址。當主機A從收到的響應報文中獲得網關的MAC地址後，將報文封裝並發給網關。如果網關沒有主機B的ARP表項，網關會廣播ARP請求，目標IP地址為主機B的IP地址，當網關從收到的響應報文中獲得主機B的MAC地址後，就可以將報文發給主機B；如果網關已經有主機B的ARP表項，網關直接把報文發給主機B。

1.1.3  ARP表項類型

設備通過ARP解析到目的MAC地址後，將會在自己的ARP表中增加IP地址和MAC地址映射關係的表項，以用於後續到同一目的地報文的轉發。

ARP表項分為動態ARP表項、靜態ARP表項和Rule ARP表項。

1. 動態ARP表項

動態ARP表項由ARP協議通過ARP報文自動生成和維護，可以被老化，可以被新的ARP報文更新，可以被靜態ARP表項覆蓋。當到達老化時間、接口狀態down時，係統會刪除相應的動態ARP表項。

2. 靜態ARP表項

靜態ARP表項通過手工配置和維護，不會被老化，不會被動態ARP表項覆蓋。

配置靜態ARP表項可以增加通信的安全性。靜態ARP表項可以限製和指定IP地址的設備通信時隻使用指定的MAC地址，此時攻擊報文無法修改此表項的IP地址和MAC地址的映射關係，從而保護了本設備和指定設備間的正常通信。

靜態ARP表項分為短靜態ARP表項、長靜態ARP表項。

·     長靜態ARP表項可以直接用於報文轉發，除了包括IP地址和MAC地址外，還需要包括以下兩種表項內容之一：

¡     該ARP表項所在VLAN和出接口；

¡     該ARP表項的入接口和出接口對應關係。

·     短靜態ARP表項隻包括IP地址和MAC地址。

如果出接口是三層以太網接口，短靜態ARP表項可以直接用於報文轉發。

如果出接口是VLAN接口，短靜態ARP表項不能直接用於報文轉發，需要對表項進行解析：當要發送IP數據報時，設備先發送ARP請求報文，如果收到的響應報文中的發送端IP地址和發送端MAC地址與所配置的IP地址和MAC地址相同，則將接收ARP響應報文的接口加入該靜態ARP表項中，此時，該短靜態ARP表項由未解析狀態變為解析狀態，之後就可以用於報文轉發。

一般情況下，ARP動態執行並自動尋求IP地址到以太網MAC地址的解析，無需管理員的介入。當希望設備和指定用戶隻能使用某個固定的IP地址和MAC地址通信時，可以配置短靜態ARP表項，當進一步希望限定這個用戶隻在某VLAN內的某個特定接口上連接時就可以配置長靜態ARP表項。

3. Rule ARP表項

Rule ARP表項不會被老化，不能通過ARP報文更新，可以被靜態ARP表項覆蓋，可以直接用於轉發報文。Rule ARP表項可由如下特性添加：

·     IPoE，IPoE的詳細介紹請參見“安全配置指導”中的“IPoE”。

·     Portal，Portal的詳細介紹請參見“安全配置指導”中的“Portal”。

·     VXLAN，VXLAN的詳細介紹請參見“VXLAN配置指導”中的“VXLAN”。

1.2  ARP配置任務簡介

本節中的所有配置均為可選，請根據實際情況選擇配置。

·     手工添加靜態ARP表項

¡     手工添加短靜態ARP表項

¡     手工添加長靜態ARP表項

·     配置動態ARP表項的相關功能

¡     配置設備學習動態ARP表項的最大數目

¡     配置接口學習動態ARP表項的最大數目

¡     配置動態ARP表項的老化時間

¡     開啟動態ARP表項的檢查功能

·     開啟在地址借用的接口學習不同網段ARP表項的功能

·     開啟ARP日誌信息功能

1.3  手工添加靜態ARP表項

靜態ARP表項在設備正常工作期間一直有效。

1.3.1  手工添加短靜態ARP表項

1. 配置限製和指導

對於已經解析的短靜態ARP表項，會由於外部事件，比如解析到的出接口狀態down或設備的ARP表項所對應的VLAN或VLAN接口被刪除等原因，恢複到未解析狀態。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     手工添加短靜態ARP表項。

arp static ip-address mac-address [ vpn-instance vpn-instance-name ] [ description text ]

1.3.2  手工添加長靜態ARP表項

1. 功能簡介

長靜態ARP表項根據設備的當前狀態可能處於有效或無效兩種狀態。處於無效狀態的原因可能是該ARP表項中的IP地址與本地IP地址衝突或設備上沒有與該ARP表項中的IP地址在同一網段的接口地址等原因。處於無效狀態的長靜態ARP表項不能指導報文轉發。當長靜態ARP表項所對應的VLAN或VLAN接口被刪除時，該ARP表項會被刪除。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     手工添加長靜態ARP表項。

arp static ip-address mac-address [[ vlan-id interface-type interface-number ] [ vpn-instance vpn-instance-name ] [ description text ]

1.4  配置動態ARP表項的相關功能

1.4.1  配置設備學習動態ARP表項的最大數目

1. 功能簡介

設備可以通過ARP協議自動生成動態ARP表項。為了防止用戶占用過多的ARP資源，可以通過設置設備學習動態ARP表項的最大數目來進行限製。當設備學習動態ARP表項的數目達到所設置的值時，該設備上將不再學習動態ARP表項。

當本命令配置的動態ARP表項的最大數目小於設備當前已經學到的動態ARP表項數目，已學到的動態ARP表項不會被直接刪除，用戶可以通過執行reset arp dynamic命令直接清除動態ARP表項。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置設備允許學習動態ARP表項的最大數目。

arp max-learning-number max-number slot slot-number

缺省情況下，設備允許學習動態ARP表項的最大數目為16384。

當配置設備允許學習動態ARP表項的最大數目為0時，表示禁止本設備學習動態ARP表項。

1.4.2  配置接口學習動態ARP表項的最大數目

1. 功能簡介

設備可以通過ARP協議自動生成動態ARP表項。為了防止部分接口下的用戶占用過多的ARP資源，可以通過設置接口學習動態ARP表項的最大數目來進行限製。當接口學習動態ARP表項的數目達到所設置的值時，該接口將不再學習動態ARP表項。

如果二層接口及其所屬的VLAN接口都配置了允許學習動態ARP表項的最大數目，則隻有二層接口及VLAN接口上的動態ARP表項數目都沒有超過各自配置的最大值時，才會學習ARP表項。

設備各接口學習的動態ARP表項之和不會超過該設備學習動態ARP表項的最大數目。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置接口允許學習動態ARP表項的最大數目。

arp max-learning-num max-number

缺省情況下，設備允許學習動態ARP表項的最大數目為16384。

當配置接口允許學習動態ARP表項的最大數目為0時，表示禁止接口學習動態ARP表項。

1.4.3  配置動態ARP表項的老化時間

1. 功能簡介

為適應網絡的變化，ARP表需要不斷更新。ARP表中的動態ARP表項並非永遠有效，每一條記錄都有一個生存周期，到達生存周期仍得不到刷新的記錄將從ARP表中刪除，這個生存周期被稱作老化時間。如果在到達老化時間前記錄被刷新，則重新計算老化時間。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置動態ARP表項的老化時間。

arp timer aging aging-time

缺省情況下，動態ARP表項的老化時間為20分鍾。

1.4.4  開啟動態ARP表項的檢查功能

1. 功能簡介

動態ARP表項檢查功能可以控製設備上是否可以學習ARP報文中的發送端MAC地址為組播MAC的動態ARP表項。

·     開啟ARP表項的檢查功能後，設備上不能學習ARP報文中發送端MAC地址為組播MAC的動態ARP表項，也不能手工添加MAC地址為組播MAC的靜態ARP表項。

·     關閉ARP表項的檢查功能後，設備可以學習以太網源MAC地址為單播MAC且ARP報文中發送端MAC地址為組播MAC的動態ARP表項，也可以手工添加MAC地址為組播MAC的靜態ARP表項。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     開啟動態ARP表項的檢查功能。

arp check enable

缺省情況下，動態ARP表項的檢查功能處於開啟狀態。

1.5  開啟在地址借用的接口學習不同網段ARP表項的功能

1. 功能簡介

在某些組網環境中，當配置某個接口借用指定接口IP地址後，由於借到的地址所在的網段和對端接口的地址可能處於不同網段，導致接口收到不同網段的ARP報文時無法學習到ARP表項。配置本功能後，可以使接口收到不在同一網段的ARP報文後學習對應的ARP表項，保證該接口和對端可以通信。

關閉本功能後，配置了地址借用功能的接口不再學習不同網段的ARP表項，已經學到的ARP表項老化後刪除。

2. 配置限製和指導

請不要在非地址借用的接口執行arp ip-unnumbered learning enable命令，否則可能會出現學習ARP表項異常的問題。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置本接口借用指定接口的IP地址。

ip address unnumbered interface interface-type interface-number

缺省情況下，本接口未借用其它接口的IP地址。

(4)     開啟在地址借用的接口學習不同網段ARP表項的功能。

arp ip-unnumbered learning enable

缺省情況下，在地址借用的接口學習不同網段ARP表項的功能處於關閉狀態。

1.6  開啟ARP日誌信息功能

1. 功能簡介

ARP日誌可以方便管理員定位問題和解決問題，對處理ARP報文的信息進行的記錄。例如，ARP日誌可以記錄如下事件：

·     設備未使能ARP代理功能時收到目的IP不是設備接口IP地址、VRRP備份組中的虛擬IP地址或NAT轉換的外部網絡地址；

·     收到的ARP報文中源地址和接收接口IP地址、VRRP備份組中的虛擬IP地址或NAT轉換的外部網絡地址衝突，且此報文不是ARP請求報文等。

設備生成的ARP日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“網絡管理和監控配置指導”中的“信息中心”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     開啟ARP日誌信息功能。

arp check log enable

缺省情況下，ARP日誌信息功能處於關閉狀態。

1.7  ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後ARP的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令清除ARP表項。

表1-1 ARP顯示和維護

2 免費ARP

2.1  免費ARP簡介

免費ARP報文是一種特殊的ARP報文，該報文中攜帶的發送端IP地址和目標IP地址都是本機的IP地址。設備通過對外發送免費ARP報文來確定其他設備的IP地址是否與本機的IP地址衝突，並實現在設備硬件地址改變時通知其它設備更新ARP表項。

2.1.1  IP地址衝突檢測

設備接口獲取到IP地址時可以在接口所在局域網內廣播發送免費ARP報文。如果設備收到ARP應答報文，表示局域網中存在與該設備IP地址相同的設備，則設備不會使用此IP地址，並打印日誌提示管理員修改該IP地址。如果設備未收到ARP應答報文，表示局域網中不存在與該設備IP地址相同的設備，則設備可以正常使用IP地址。

2.1.2  免費ARP報文學習

開啟了免費ARP報文學習功能後，設備會根據收到的免費ARP報文中攜帶的信息（發送端IP地址、發送端MAC地址）對自身維護的ARP表進行修改。設備先判斷ARP表中是否存在與此免費ARP報文中的發送端IP地址對應的ARP表項：

·     如果沒有對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息新建ARP表項；

·     如果存在對應的ARP表項，設備會根據該免費ARP報文中攜帶的信息更新對應的ARP表項。

關閉免費ARP報文學習功能後，設備不會根據收到的免費ARP報文來新建ARP表項，但是會更新已存在的對應ARP表項。如果用戶不希望通過免費ARP報文來新建ARP表項，可以關閉免費ARP報文學習功能，以節省ARP表項資源。

2.1.3  定時發送免費ARP

定時發送免費ARP功能可以及時通知下行設備更新ARP表項或者MAC地址表項，主要應用場景如下：

·     防止仿冒網關的ARP攻擊

如果攻擊者仿冒網關發送免費ARP報文，就可以欺騙同網段內的其它主機，使得被欺騙的主機訪問網關的流量被重定向到一個錯誤的MAC地址，導致其它主機用戶無法正常訪問網絡。

為了降低這種仿冒網關的ARP攻擊所帶來的影響，可以在網關的接口上開啟定時發送免費ARP功能。開啟該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，每台主機都可以學習到正確的網關，從而正常訪問網絡。

·     防止主機ARP表項老化

在實際環境中，當網絡負載較大或接收端主機的CPU占用率較高時，可能存在ARP報文被丟棄或主機無法及時處理接收到的ARP報文等現象。這種情況下，接收端主機的動態ARP表項會因超時而老化，在其重新學習到發送設備的ARP表項之前，二者之間的流量就會發生中斷。

為了解決上述問題，可以在網關的接口上開啟定時發送免費ARP功能。啟用該功能後，網關接口上將按照配置的時間間隔周期性發送接口主IP地址和手工配置的從IP地址的免費ARP報文。這樣，接收端主機可以及時更新ARP映射表，從而防止了上述流量中斷現象。

·     防止VRRP虛擬IP地址衝突

當網絡中存在VRRP備份組時，需要由VRRP備份組的Master路由器周期性的向網絡內的主機發送免費ARP報文，使主機更新本地ARP地址表，從而確保網絡中不會存在IP地址與Master路由器VRRP虛擬IP地址相同的設備。免費ARP報文中的發送端MAC為VRRP虛擬路由器對應的虛擬MAC地址。

2.2  免費ARP配置任務簡介

本節中的所有配置均為可選，請根據實際情況選擇配置。當以下功能均未開啟時，免費ARP的衝突地址檢測功能仍然生效。

·     開啟源IP地址衝突提示功能

·     開啟免費ARP報文學習功能

·     開啟定時發送免費ARP功能

·     開啟設備收到非同一網段ARP請求時發送免費ARP報文功能

·     配置當接口MAC地址變化時，該接口重新發送免費ARP報文的次數和時間間隔

2.3  開啟源IP地址衝突提示功能

1. 功能簡介

設備接收到其它設備發送的ARP報文後，如果發現報文中的源IP地址和自己的IP地址相同，該設備會根據當前源IP地址衝突提示功能的狀態，進行如下處理：

·     如果源IP地址衝突提示功能處於關閉狀態時，設備發送一個免費ARP報文確認是否衝突，隻有收到對應的ARP應答後才提示存在IP地址衝突。

·     如果源IP地址衝突提示功能處於開啟狀態時，設備立刻提示存在IP地址衝突。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     開啟源IP地址衝突提示功能。

arp ip-conflict log prompt

設備采用出廠配置啟動時，源IP地址衝突提示功能處於開啟狀態。

設備采用空配置啟動時，源IP地址衝突提示功能處於關閉狀態。

關於空配置和出廠配置的詳細介紹，請參見“基礎配置指導”中的“配置文件管理”。

2.4  開啟免費ARP報文學習功能

(1)     進入係統視圖。

system-view

(2)     開啟免費ARP報文學習功能。

gratuitous-arp-learning enable

缺省情況下，免費ARP報文的學習功能處於開啟狀態。

2.5  開啟定時發送免費ARP功能

1. 配置限製和指導

·     設備最多允許同時在1024個接口上開啟定時發送免費ARP功能。

·     開啟定時發送免費ARP功能後，隻有當接口鏈路狀態up並且配置IP地址後，此功能才真正生效。

·     如果修改了免費ARP報文的發送時間間隔，則在下一個發送時間間隔才能生效。

·     如果同時在很多接口下開啟定時發送免費ARP功能，或者每個接口有大量的從IP地址，又或者是兩種情況共存的同時又配置很小的發送時間間隔，那麼免費ARP報文的實際發送時間間隔可能會遠遠高於用戶設定的時間間隔。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     開啟定時發送免費ARP功能。

arp send-gratuitous-arp [ interval interval ]

缺省情況下，定時發送免費ARP功能處於關閉狀態。

2.6  開啟設備收到非同一網段ARP請求時發送免費ARP報文功能

(1)     進入係統視圖。

system-view

(2)     開啟設備收到非同一網段ARP請求時發送免費ARP報文功能。

gratuitous-arp-sending enable

缺省情況下，設備收到非同一網段的ARP請求時發送免費ARP報文功能處於關閉狀態。

2.7  配置當接口MAC地址變化時，該接口重新發送免費ARP報文的次數和時間間隔

1. 功能簡介

當設備的MAC地址發生變化後，設備會通過免費ARP報文將修改後的MAC地址通告給其他設備。由於目前免費ARP報文沒有重傳機製，其他設備可能無法收到免費ARP報文。為了解決這個問題，用戶可以配置當接口MAC地址變化時，該接口重新發送免費ARP報文的次數和時間間隔，保證其他設備可以收到該免費ARP報文。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置當接口MAC地址變化時，重新發送免費ARP報文的次數和時間間隔

gratuitous-arp mac-change retransmit times interval seconds

缺省情況下，當設備的接口MAC地址變化時，該接口隻會發送一次免費ARP報文。

3 代理ARP

3.1  代理ARP簡介

如果ARP請求是從一個網絡的主機發往同一網段卻不在同一物理網絡上的另一台主機，那麼連接它們的具有代理ARP功能的設備就可以回答該請求，這個過程稱作代理ARP（Proxy ARP）。

代理ARP功能屏蔽了分離的物理網絡這一事實，使用戶使用起來，好像在同一個物理網絡上。

代理ARP分為普通代理ARP和本地代理ARP，二者的應用場景有所區別：

·     普通代理ARP的應用場景為：想要互通的主機分別連接到設備的不同三層接口上，且這些主機不在同一個廣播域中。

·     本地代理ARP的應用場景為：想要互通的主機連接到設備的同一個三層接口上，且這些主機不在同一個廣播域中。

3.2  開啟普通代理ARP功能

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

普通代理ARP功能可在VLAN接口視圖/三層以太網接口視圖/三層以太網子接口視圖/三層聚合接口視圖/三層聚合子接口視圖下進行配置。

(3)     開啟普通代理ARP功能。

proxy-arp enable

缺省情況下，普通代理ARP功能處於關閉狀態。

3.3  開啟本地代理ARP功能

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

本地代理ARP功能可在VLAN接口視圖/三層以太網接口視圖/三層以太網子接口視圖/三層聚合接口視圖/三層聚合子接口視圖下進行配置。

(3)     開啟本地代理ARP功能。

local-proxy-arp enable [ ip-range start-ip-address to end-ip-address ]

缺省情況下，本地代理ARP功能處於關閉狀態。

3.4  代理ARP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後代理ARP的運行情況，查看顯示信息驗證配置的效果。

表3-1 代理ARP顯示和維護

4 ARP Snooping

4.1  ARP Snooping簡介

ARP Snooping功能是一個用於二層交換網絡環境的特性，通過偵聽ARP報文建立ARP Snooping表項。

4.1.1  ARP Snooping表項建立機製

設備上在一個VLAN中啟用ARP Snooping後，該VLAN內接收的ARP報文都會被上送到CPU。CPU對上送的ARP報文進行分析，獲取ARP報文的發送端IP地址、發送端MAC地址、VLAN和入端口信息，建立記錄用戶信息的ARP Snooping表項。

4.1.2  ARP Snooping表項老化機製

ARP Snooping表項的老化時間為25分鍾，有效時間為15分鍾。

如果一個ARP Snooping表項自最後一次更新後12分鍾內沒有收到ARP更新報文，設備會向外主動發送一個ARP請求進行探測；若ARP Snooping表項自最後一次更新後15分鍾時，還沒有收到ARP更新報文，則此表項開始進入失效狀態，不再對外提供服務，其他特性查找此表項將會失敗。當收到發送端IP地址和發送端MAC與已存在的ARP Snooping表項IP地址和MAC均相同的ARP報文時，此ARP Snooping表項進行更新，重新開始生效，並重新老化計時。

當ARP Snooping表項達到老化時間後，則將此ARP Snooping表項刪除。

4.1.3  ARP Snooping表項衝突處理機製

如果ARP Snooping收到ARP報文時檢查到相同IP的ARP Snooping表項已經存在，但是MAC地址發生了變化，則認為發生了攻擊，此時ARP Snooping表項處於衝突狀態，表項失效，不再對外提供服務，並在1分鍾後刪除此表項。

4.2  開啟ARP Snooping功能

(1)     進入係統視圖。

system-view

(2)     進入VLAN視圖。

vlan vlan-id

(3)     開啟ARP Snooping功能。

arp snooping enable

缺省情況下，ARP Snooping功能處於關閉狀態。

4.3  ARP Snooping顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後ARP Snooping的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下，用戶可以執行reset命令清除ARP Snooping表中的表項。

表4-1 ARP Snooping顯示和維護

5 ARP快速應答

5.1  ARP快速應答簡介

ARP快速應答功能根據設備上生成的IP Source Guard表項或者ARP Snooping表項包含的信息，在指定的VLAN內，對ARP請求進行應答，從而減少ARP廣播報文。

設備收到ARP請求報文後，進行如下處理：

(1)     如果請求報文的目的IP地址是設備的VLAN接口的IP地址，則由ARP特性進行處理。如果ARP請求報文的目的IP地址不是VLAN接口的IP地址，則進行如下操作。

(2)     ARP快速應答根據報文中的目的IP地址查找IP Source Guard表項。如果查找成功，當接口是無線網接口時，不管查找到的表項的接口和收到請求報文的接口是否一致，都直接進行應答；當接口是以太網接口時，當查找到的表項的接口和收到請求報文的接口一致，不進行應答，否則立即進行應答。如果查找失敗，則繼續進行如下步驟。關於IP Source Guard的詳細介紹，請參見“安全配置指導”中的“IP Source Guard”。

(3)     當設備上開啟了ARP Snooping，則繼續查找ARP Snooping表項，如果查找成功，當接口是無線網接口時，不管查找到的表項的接口和收到請求報文的接口是否一致，都直接進行應答；當接口是以太網接口時，當查找到的表項的接口和收到請求報文的接口一致，不進行應答，否則立即進行應答。如果查找失敗，則繼續進行如下步驟。

(4)     ARP向指定VLAN內除收到請求報文的接口外的其他接口轉發該請求報文或將報文交於其他特性處理。

5.2  開啟ARP快速應答功能

1. 配置限製和指導

為了提高ARP快速應答的應答幾率，可以在應用ARP快速應答功能的場合同時開啟ARP Snooping功能。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入VLAN視圖。

vlan vlan-id

(3)     開啟ARP快速應答功能。

arp fast-reply enable

缺省情況下，ARP快速應答功能處於關閉狀態。

6 ARP直連路由通告

6.1  ARP直連路由通告簡介

6.1.1  工作機製

ARP直連路由通告功能用於使設備從ARP表中學到對應的直連路由信息，以便其他路由協議發布該直連路由或指導報文轉發。

6.1.2  三層接入組網應用

如圖6-1所示，Server A和Server B通過三層接口接入到Device A與Device B。在Device A的Interface A和Device B的Interface B下開啟ARP直連路由通告功能後，Device A可以通過ARP表項生成到Server A的主機路由，Device B可以通過ARP表項生成到Server B的主機路由。其他路由協議可以僅發布該主機路由，減少由於發布網段路由而引入的無效流量，節約帶寬。

圖6-1 三層接入組網圖

6.2  開啟ARP直連路由通告功能

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     開啟ARP直連路由通告功能。

arp route-direct advertise

缺省情況下，ARP直連路由通告功能處於關閉狀態。